Использовать rpm -V для резервной копии базы данных
rpm(1) предоставляет опцию -V для проверки установленных файлов в базе данных установки, которая может использоваться для обнаружения измененных или отсутствующих файлов. Это может быть использовано как форма обнаружения вторжения (или, по крайней мере, часть аудита). Однако, конечно, возможно, что установленная база данных rpm может быть изменена хакером, чтобы скрыть свои следы (см. http://www.sans.org/security-resources/idfaq/rpm.php, последнее предложение)
Похоже, что должна быть возможность создавать резервные копии базы данных rpm /var/lib/rpm после каждой установки (на некоторый внешний носитель) и использовать ее во время аудита с использованием --dbpath. Такая резервная копия должна обновляться после каждой установки или обновления и т. Д.
Это возможно? Есть ли какие-либо ресурсы, которые описывают методы, подводные камни, предложения и т. Д. Для этого?
1 ответ
Да, возможно. Используйте "rpm -Va --dbpath / some / where / else", чтобы указать на какой-то сохраненный каталог базы данных.
Скопируйте / var / lib / rpm / Packages в сохраненный каталог / some / where / else и выполните команду "rpm --rebuilddb --dbpath / some / where / else" для регенерации индексов.
Обратите внимание, что вы также можете проверить файлы, используя оригинальную упаковку, такую как "rpm -Vp some*.rpm", которая часто менее трудна (и более безопасна с автономными пакетами хранения мультимедиа RO), чем сохранение копий установленных / var / lib / rpm / Пакеты rpmdb.